Politique de confidentialité
Version 2026-09-30.2
Politique de confidentialité — OTCValue Version 2026-09-30.2 — 30 septembre 2026 1. Qui traite vos données ? THELOS SAS, 10 rue de Penthièvre, 75008 Paris, France, 789 713 310 RCS Paris, est responsable des traitements qu'elle détermine pour la gestion d'OTCValue, notamment les comptes, la relation client, la facturation et la sécurité de son service. Contact protection des données : THELOS SAS, contact@otcvalue.com. Merci de préciser « Données personnelles » dans l'objet si possible. Lorsque votre organisation utilise OTCValue pour traiter des données personnelles pour ses propres finalités, elle peut être responsable de ce traitement et THELOS son sous-traitant. Ces opérations sont encadrées par le DPA (https://otcvalue.com/Legal/7). Vos droits concernant ces données peuvent alors être exercés auprès de votre organisation ; THELOS l'assiste et lui transmet les demandes qui relèvent de ses instructions. 2. Données concernées et provenance Selon les fonctionnalités utilisées, les données peuvent comprendre : - identité, adresse électronique, éléments de profil, langue et préférences d'affichage ; - appartenance à une organisation, invitations, rôles et droits d'accès ; - données techniques d'authentification, événements de connexion, traces de sécurité et diagnostic ; - coordonnées du client et du contact payeur, adresse de facturation, identifiants fiscaux, abonnements, factures et références de paiement ; - messages adressés au support, pièces utiles à la résolution d'une demande et historique de traitement ; - données saisies dans les portefeuilles, positions ou champs libres lorsqu'elles identifient une personne ; - déclaration d'usage professionnel, texte, version, langue et date ; références et dates des acceptations contractuelles, demandes de résiliation et réclamations ; - preuves historiques conservées lorsqu'elles sont nécessaires à un contrat antérieur ou à une obligation légale, sans nouvelle collecte de résidence de consommateur dans le parcours B2B. Les données proviennent de vous, d'un membre habilité de votre organisation, du prestataire de paiement ou du fonctionnement du service. Lorsqu'un tiers vous invite ou vous désigne comme contact de facturation, une information adaptée doit vous être remise. Les données financières d'une société ne sont pas toutes des données personnelles. Elles restent couvertes par les engagements de confidentialité contractuels lorsqu'elles sont confidentielles. Si les données proviennent d'un membre de votre organisation, d'un invitant ou d'un contact de facturation, THELOS vous informe au plus tard lors de son premier contact, de la première communication à un autre destinataire ou dans le délai légal applicable, selon l'événement qui survient en premier. Vous pouvez demander à connaître la source et les données concernées. L'organisation cliente reste responsable de l'information correspondant aux traitements qu'elle détermine. Le service n'a pas vocation à recevoir des données de santé, opinions politiques, données biométriques ou autres catégories particulières sans nécessité et cadre spécifique. Ne transmettez pas de mot de passe ou de numéro complet de carte au support. 3. Pourquoi et sur quelle base ? Gérer l'éligibilité professionnelle et la preuve des déclarations et acceptations : Exécution du contrat lorsque la personne est partie ; intérêt légitime à gérer l'accès professionnel, établir et défendre les droits contractuels, suivant la situation Créer un compte, fournir l'abonnement et répondre à une demande précontractuelle : Exécution du contrat lorsque la personne est partie au contrat ; intérêt légitime à fournir le service à l'organisation pour ses représentants et utilisateurs Gérer les invitations, rôles et préférences nécessaires au service : Exécution du contrat ou intérêt légitime à administrer les accès ; instructions du client pour les traitements réalisés pour son compte Facturer, suivre les paiements et conserver les justificatifs requis : Exécution du contrat et obligations légales comptables et fiscales, suivant l'opération Prévenir les abus, protéger les comptes et diagnostiquer un incident : Intérêt légitime à sécuriser le service, avec limitation des données et accès ; obligations légales applicables Traiter le support et les réclamations : Exécution du contrat ou intérêt légitime au traitement des demandes ; obligations légales pour certains recours Conserver les preuves nécessaires et gérer un litige : Obligation légale lorsqu'elle existe ; intérêt légitime à établir ou défendre des droits Déposer des traceurs non nécessaires, si de tels traceurs sont ajoutés : Consentement préalable lorsque requis Les données demandées comme obligatoires sont nécessaires aux opérations indiquées dans le formulaire ; leur absence peut empêcher la création du compte, la fourniture de la prestation ou l'établissement de la facture. Les champs facultatifs sont identifiés comme tels. La politique ne vaut pas autorisation de prospection commerciale. Toute prospection envisagée doit être décrite séparément avec sa base et un moyen de s'y opposer. 4. Qui peut les recevoir ? Les données sont accessibles aux personnes habilitées de THELOS pour leurs missions, aux membres de votre organisation dans la limite de leurs droits et aux prestataires nécessaires à la prestation. Elles peuvent aussi être communiquées aux autorités, conseils ou professionnels comptables lorsqu'une obligation ou un besoin légitime identifié le justifie. Les principaux destinataires techniques identifiés sont : Microsoft Ireland Operations Limited — Azure : hébergement du site et de la base, traitement et sauvegarde des données confiées. OVH SAS — OVHcloud : hébergement et acheminement de la messagerie, notamment les échanges avec le support. Stripe : Paiements et abonnements ; sous-traitance pour certaines opérations et responsabilité propre notamment pour la lutte contre la fraude et les obligations réglementaires. Voir les informations de Stripe (https://stripe.com/fr/legal/privacy-center). Volentio JSD Limited — jsDelivr : Distribution de bibliothèques du site ; réception de données techniques de connexion lors de leur chargement, selon sa politique de confidentialité (https://www.jsdelivr.com/terms/privacy-policy). 5. Localisation et transferts Le site, la base principale et ses sauvegardes sont hébergés en France. La messagerie est hébergée par OVHcloud, dont l'offre utilisée prévoit un stockage en France. Ces localisations n'impliquent pas que tous les accès de support, acheminements de courriels et traitements du paiement restent en France. Le DPA Stripe (https://stripe.com/fr/legal/dpa) prévoit notamment des transferts vers Stripe, LLC aux États-Unis ; son accord sur les transferts (https://stripe.com/fr/legal/dta) précise les mécanismes applicables. La liste des sous-traitants OVHcloud comprend des interventions possibles depuis le Canada et le Royaume-Uni. jsDelivr utilise également un réseau international. Les flux concernés doivent être distingués du stockage principal. Lorsqu'un transfert de données personnelles hors de l'Espace économique européen intervient, il doit être identifié et encadré par le mécanisme applicable : décision d'adéquation valide pour le destinataire concerné, clauses contractuelles types accompagnées des vérifications nécessaires, ou autre fondement légal pertinent. Vous pouvez écrire à contact@otcvalue.com pour obtenir des précisions sur les transferts et une copie des garanties applicables, sous les occultations nécessaires à la protection des secrets et droits des tiers. 6. Pendant combien de temps ? Les durées sont définies par finalité, avec distinction entre utilisation courante, archivage restreint et sauvegardes. Une résiliation ne justifie ni une conservation générale indéfinie ni l'effacement de justificatifs que la loi impose de conserver. Compte, profil et accès : Pendant l'usage actif ; pour un compte gratuit inactif depuis trois ans, examen manuel et avertissement au moins trente jours avant une éventuelle fermeture. Les droits d'une organisation encore active sont vérifiés séparément. Les demandes d'effacement sont traitées dans les délais légaux, sous les exceptions justifiées. Portefeuilles, positions et historiques métier : Pendant la fourniture du service à l'organisation, Free compris, selon ses instructions autorisées. Après une fermeture ou instruction d'effacement : restitution demandée, puis effacement des données devenues inutiles, sous les droits de récupération et conservations légalement nécessaires. La seule inactivité d'un membre n'autorise pas l'effacement de l'organisation. Factures et pièces comptables : Durée légale applicable, en principe dix ans à compter de la clôture de l'exercice concerné pour les pièces comptables Contrats et preuves utiles à leur exécution : Archivage restreint pendant cinq ans après la fin de la relation concernée, sous réserve d'un autre point de départ ou d'une interruption/suspension de prescription, d'une obligation spéciale ou d'un contentieux identifié. Ne pas conserver tout le compte ou tous ses messages au seul motif de la preuve. Support courant : Traitement de la demande, puis deux ans après sa clôture ; seules les pièces nécessaires à un contentieux ou à la preuve contractuelle sont isolées pour la durée justifiée correspondante. Journaux de sécurité et diagnostic technique : Six mois glissants ; les éléments nécessaires à un incident ou litige identifié sont extraits et conservés avec accès restreint pendant la durée nécessaire à son traitement. Cette règle ne vise pas les historiques métier nécessaires au service. File technique des courriels d'authentification : Purge prévue dans le code au-delà de trente jours après création, hors message encore en cours de traitement ; les contenus devenus inutiles sont effacés selon le cycle d'envoi/expiration. La preuve d'acceptation conservée avec le compte est distincte de cette file. Autres courriels et preuves d'envoi : Durée de leur finalité : support, preuve contractuelle ou comptabilité selon le contenu. Les doublons de transport devenus inutiles sont supprimés ; aucun archivage indistinct de toutes les boîtes n'est justifié par les factures. Sauvegardes de messagerie : le fournisseur annonce une conservation de quatorze jours. Ce délai est distinct de celui des messages conservés dans la boîte et ne vaut pas garantie d'effacement physique sous quatorze jours. Sauvegardes de la base : fenêtre de restauration de sept jours. Les fichiers nécessaires à une chaîne de restauration complète peuvent être conservés jusqu'à une semaine supplémentaire, puis sont supprimés par le fournisseur lorsqu'ils ne sont plus nécessaires. La fenêtre de sept jours permet la restauration de la base ; elle ne constitue pas une promesse d'effacement physique de toutes les copies sous sept jours après une demande. Les sauvegardes résiduelles sont réservées à la continuité et à la restauration, protégées et exclues des usages courants. Si une restauration réintroduit des données dont l'effacement a été traité, les suppressions doivent être réappliquées avant leur remise en usage courant. Un contentieux, une enquête ou une obligation particulière ne justifie une conservation complémentaire que pour les données nécessaires et la durée correspondante, avec accès restreint. À l'issue de cette durée, elles sont supprimées ou anonymisées de manière effective. La procédure manuelle de fermeture ne dispense pas THELOS d'appliquer ce calendrier. 7. Vos droits Dans les conditions prévues par le RGPD, vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité des données éligibles et vous opposer aux traitements fondés sur un intérêt légitime. Lorsqu'un traitement repose sur votre consentement, son retrait n'affecte pas la licéité des opérations antérieures. Les règles françaises applicables aux directives relatives au sort des données après le décès restent réservées. Adressez votre demande à contact@otcvalue.com en permettant d'identifier le compte et l'objet de la demande. Une vérification d'identité proportionnée peut être nécessaire ; une copie de pièce d'identité ne doit pas être systématiquement demandée. THELOS répond dans les délais légaux, en principe un mois ; les prolongations légalement permises sont expliquées. Les demandes de fermeture de compte et d'effacement de données sont traitées manuellement par THELOS. La page de données personnelles explique comment écrire à contact@otcvalue.com ; elle ne déclenche pas de suppression automatique. Précisez si la demande concerne la fermeture du compte, l'effacement de certaines données ou les deux. La résiliation de l'abonnement demeure une démarche distincte, accessible dans la gestion de l'abonnement ; le retour à l'offre gratuite ne supprime pas les données. La fermeture d'un accès individuel peut nécessiter de distinguer les données du client organisation et les justificatifs conservés légalement. Ces distinctions ne permettent pas de rejeter globalement un droit à l'effacement. Vous pouvez introduire une réclamation auprès de la CNIL (https://www.cnil.fr/fr/plaintes) ou de l'autorité de contrôle compétente. 8. Sécurité, décisions automatisées et mises à jour THELOS doit mettre en œuvre des mesures adaptées aux risques : contrôle des accès, protection des échanges, traitement des incidents et maîtrise des prestataires. La base principale et ses sauvegardes automatiques sont chiffrées au repos. Aucune certification particulière, absence de faille ou garantie chiffrée de restauration n'est annoncée par cette politique. Les traitements automatisés identifiés incluent les calculs de valorisation et la gestion des droits liée à l'offre et au paiement. Vous pouvez contacter THELOS pour faire examiner une situation affectant vos accès et contester les informations utilisées, sans réduction des droits légalement applicables. Les modifications de cette politique sont datées et accessibles. Un changement de finalité ou une opération nécessitant un nouveau consentement est traité selon les règles applicables, sans tirer un consentement de la seule publication d'une nouvelle version.